Geht es wirklich nicht? XSS um zu prüfen, ob Resource vorhanden

[Don P]

Hallo,

Beispiel: Mein JavaScript in einem Dokument auf example.org will prüfen, ob http://www.felix-riesterer.de/datei.html einen 404er ergibt, oder nicht, um im Bedarfsfalle eine andere Resource anzufordern.

Ich scheitere nach wie vor an der same-origin-policy, die ich im Grunde für ganz in Ordnung halte, jedoch in meinem Fall nicht so ganz einsehen will, warum eine solche Prüfmöglichkeit ein XSS-Sicherheitsloch wäre.

Die gilt manchmal auch nicht, z.B. beim Einbinden von Scripts (script tag hack).

aber dabei feuert "onerror" jedes Mal, da mein HTML-Dokument natürlich nicht mit dem MIME-Typ für Bilder, sondern völlig zurecht mit "text/html" ausgeliefert wird.

onerror ist doch ganz ok. Du musst nur die Art des Fehlers abfragen. "Error loading script" bedeuetet, dass die Ressource nicht vohanden ist (404 oder so), jeder andere Fehler (z.B. "Script Error") bedeuet, dass sie vorhanden ist.

Gruß, Don P